Un sistema es de categoría ALTA en el Esquema Nacional de Seguridad (Real Decreto 311/2022) cuando al menos una de sus cinco dimensiones de seguridad —confidencialidad, integridad, trazabilidad, autenticidad o disponibilidad— alcanza el nivel ALTO, es decir, cuando un incidente causaría un perjuicio muy grave. Obliga a aplicar las medidas y los refuerzos del Anexo II que correspondan según el nivel de cada dimensión y la categoría del sistema, y a acreditar la conformidad mediante una auditoría de certificación (artículo 38); además, el sistema debe someterse a una auditoría regular al menos cada dos años (artículo 31).
Un sistema clasificado en categoría alta no se resuelve acumulando políticas, procedimientos y herramientas de seguridad. Los controles del ENS nivel alto exigen demostrar que la organización conoce sus riesgos, protege sus activos críticos y puede responder ante un incidente sin comprometer un servicio esencial. Para una empresa que trabaja con la Administración, participa en licitaciones o presta servicios tecnológicos a organismos públicos, el margen de improvisación es mínimo.
El coste de abordar el ENS alto como un trámite documental suele aparecer tarde: retrasos en una adjudicación, observaciones graves en auditoría, pérdida de confianza de un cliente público o incapacidad para acreditar el nivel de seguridad comprometido. La certificación debe convertirse en un sistema operativo de control, no en una carpeta preparada para el auditor.
Qué es el ENS nivel alto (categoría ALTA)
El Esquema Nacional de Seguridad establece tres categorías de sistemas: básica, media y alta. La categoría se determina a partir del impacto que tendría un incidente sobre cinco dimensiones de seguridad: confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad.
Un sistema puede quedar clasificado como alto cuando un fallo de seguridad tenga consecuencias muy graves en una de esas dimensiones. Por ejemplo, una indisponibilidad prolongada de una plataforma que presta un servicio público esencial, la alteración de datos con efectos administrativos relevantes o el acceso no autorizado a información especialmente sensible pueden elevar la categoría.
Esta clasificación no depende solo del tamaño de la empresa ni de que el cliente sea una administración. Depende del servicio concreto, de la información tratada, de las interconexiones, de los usuarios y del perjuicio real que podría causar un incidente. Por eso, copiar la categorización de otro proveedor es un error frecuente y difícil de defender ante auditoría.
Nivel alto y categoría alta: no es lo mismo
En las búsquedas y en muchos pliegos se usan como sinónimos, pero el ENS distingue dos conceptos. El nivel (bajo, medio o alto) se asigna a cada dimensión de seguridad según el perjuicio que causaría un incidente: limitado, grave o muy grave. La categoría (básica, media o alta) se asigna al sistema completo y la marca la dimensión más exigente. Basta con que la disponibilidad de un servicio sea de nivel alto para que todo el sistema sea de categoría ALTA, aunque la confidencialidad de la información sea baja.
Conviene aclarar también un error frecuente: categoría alta no significa información clasificada. El Real Decreto 311/2022 se aplica además a los sistemas que tratan información clasificada, sin perjuicio de la Ley de Secretos Oficiales y de las medidas complementarias que puedan exigir los compromisos internacionales de España (artículo 2.2). La categoría ALTA se aplica a cualquier servicio cuyo fallo causaría un perjuicio muy grave a la Administración, a los ciudadanos o a terceros.
| Categoría MEDIA | Categoría ALTA | |
|---|---|---|
| Cuándo aplica | Alguna dimensión alcanza nivel medio y ninguna llega a alto | Alguna dimensión alcanza nivel alto |
| Impacto de un incidente | Perjuicio grave | Perjuicio muy grave |
| Medidas del Anexo II | Medidas y refuerzos aplicables al nivel y la categoría medios | Medidas y refuerzos aplicables al nivel y la categoría altos, de mayor exigencia |
| Evaluación | Auditoría de certificación, al menos cada dos años | Auditoría de certificación y auditoría regular al menos cada dos años, con mayor exigencia de evidencias; ante deficiencias graves, el responsable del sistema puede suspender el servicio (art. 31.6) |
Niveles y categorías del ENS: resumen
| Nivel de la dimensión | Perjuicio de un incidente | Categoría del sistema |
|---|---|---|
| Bajo | Limitado | BÁSICA: si alguna dimensión llega a bajo y ninguna a un nivel superior |
| Medio | Grave | MEDIA: si alguna dimensión llega a medio y ninguna a alto |
| Alto | Muy grave | ALTA: si alguna dimensión llega a alto |
Fuente: Real Decreto 311/2022, anexo I.
Quién necesita el ENS alto
Lo necesitan las entidades del sector público con sistemas de categoría alta y, sobre todo, los proveedores privados que prestan servicios o soluciones a esas entidades: alojamiento y cloud, desarrollo y mantenimiento de aplicaciones de gestión, centros de proceso de datos, servicios gestionados de seguridad o plataformas que tratan datos especialmente sensibles. En la práctica, la exigencia llega a través del pliego: cuando el órgano de contratación categoriza el servicio como ALTO, pide acreditar la conformidad con el ENS en esa categoría, y una certificación en categoría media no cubre ese requisito.
Si todavía no tiene claro si su servicio entra en el ámbito del ENS, empiece por quién debe certificarse en ENS. Si su objetivo es la categoría media, consulte los pasos para la certificación ENS medio.
Los controles aplicables al ENS alto no son una lista cerrada
El Anexo II del ENS recoge medidas organizativas, operacionales y de protección. Sin embargo, afirmar que todos los controles se aplican de idéntica manera a cualquier organización de categoría alta simplifica en exceso el trabajo.
La categoría determina el nivel de exigencia de muchas medidas, pero el alcance efectivo debe definirse conforme a la arquitectura, los servicios incluidos, los activos, los riesgos y las dependencias de terceros. La Declaración de Aplicabilidad es el documento que convierte esa lógica en una posición auditable: identifica qué medidas aplican, con qué nivel, cómo se implantan y por qué una medida puede no ser pertinente. Los refuerzos (R) del Anexo II se suman a los requisitos base de la medida, pero no siempre son incrementales entre sí: en algunos casos se elige entre uno u otro.
Una exclusión no puede basarse en que una medida resulte incómoda, costosa o difícil de implantar. Debe existir una justificación técnica objetiva y evidencias que demuestren que el riesgo está controlado por otros medios. En nivel alto, las justificaciones genéricas suelen generar observaciones porque el auditor espera trazabilidad entre activos, análisis de riesgos, controles y evidencias.
Gobierno y responsabilidad real de la seguridad
La seguridad empieza por la estructura de decisión. La empresa debe disponer de una política de seguridad aprobada, normativa interna actualizada, procedimientos operativos y roles definidos. También debe acreditar quién asume la responsabilidad de la información, del servicio, de la seguridad y del sistema.
En la práctica, esto obliga a evitar un problema habitual en pymes tecnológicas: que toda la seguridad dependa informalmente del responsable de IT o del administrador de sistemas. En ENS alto deben existir funciones asignadas, mecanismos de coordinación, criterios de autorización y una gestión documentada de excepciones. Si una decisión afecta a un activo crítico, debe poder saberse quién la aprobó, con qué criterio y qué riesgo aceptó.
La formación y concienciación tampoco puede limitarse a un curso inicial. El personal con acceso a sistemas, información o funciones privilegiadas debe recibir formación acorde con su responsabilidad. La evidencia debe reflejar convocatorias, contenidos, participación y seguimiento, no solo una presentación corporativa.
Gestión de activos, riesgos y cambios
No se puede proteger lo que no se conoce. Un sistema ENS alto requiere un inventario fiable de activos: información, aplicaciones, infraestructuras, equipos, comunicaciones, servicios en la nube, proveedores y personal con funciones críticas.
Cada activo debe relacionarse con sus responsables, su valor, sus dependencias y las dimensiones de seguridad que protege. Esta base permite realizar un análisis de riesgos útil. Un análisis genérico, sin conexión con los servicios incluidos en el alcance, no justifica decisiones de seguridad ni prioriza inversiones.
La gestión de cambios es otro punto sensible. Actualizar una aplicación, abrir una conexión con un tercero, modificar permisos o migrar una carga a la nube puede alterar el nivel de exposición del sistema. En categoría alta, los cambios relevantes deben evaluarse, aprobarse, probarse y dejar evidencia suficiente. No se trata de frenar la operación, sino de evitar que la urgencia comercial introduzca una debilidad no controlada.
Controles técnicos que suelen concentrar más esfuerzo
La exigencia de ENS alto se aprecia especialmente en los controles técnicos. Aquí es donde muchas organizaciones descubren la distancia entre tener herramientas contratadas y tener una seguridad gestionada.
La gestión de identidades debe asegurar que cada acceso está asociado a una persona o cuenta identificable, que los permisos siguen el principio de mínimo privilegio y que las cuentas privilegiadas reciben un tratamiento reforzado. La autenticación multifactor, la segregación de funciones, la revisión periódica de privilegios y la retirada inmediata de accesos tras una baja o cambio de puesto son evidencias habituales.
También es necesario proteger la información durante su almacenamiento, tratamiento y transmisión cuando el análisis de riesgos lo exija. El cifrado no se acredita simplemente con una declaración. Hay que demostrar qué datos se cifran, qué algoritmos y mecanismos se usan, cómo se gestionan las claves y quién puede recuperarlas.
La seguridad de redes y sistemas exige segmentación adecuada, configuraciones seguras, endurecimiento de equipos, gestión de vulnerabilidades y actualización controlada. En entornos cloud, la responsabilidad compartida con el proveedor no elimina las obligaciones de la empresa. El proveedor puede proteger la infraestructura física, pero la configuración de identidades, servicios expuestos, registros, copias de seguridad y datos suele seguir siendo responsabilidad del cliente.
La monitorización es igualmente crítica. Los registros deben permitir reconstruir acciones relevantes, investigar incidentes y acreditar la trazabilidad de accesos y operaciones. Para ello no basta con generar logs: deben conservarse, protegerse contra alteraciones, revisarse y utilizarse en la detección de anomalías. El nivel concreto de detalle y conservación dependerá del sistema y del riesgo, pero la falta de revisión es una debilidad recurrente.
Continuidad, incidentes y proveedores: la prueba de realidad
Un sistema de categoría alta debe asumir que los incidentes ocurrirán. La cuestión no es si existe un procedimiento de gestión de incidentes, sino si el equipo sabe activarlo, escalarlo y documentarlo bajo presión.
La organización necesita criterios de detección, clasificación, comunicación, contención, recuperación y cierre. Debe definir responsables, contactos y canales alternativos de comunicación. Los proveedores privados que prestan servicios a entidades públicas deben notificar a INCIBE-CERT los incidentes que les afecten (artículo 33.7 del Real Decreto 311/2022).
La continuidad del servicio exige identificar procesos críticos, objetivos de recuperación, dependencias tecnológicas y mecanismos de respaldo. Las copias de seguridad, por sí solas, no garantizan continuidad. Hay que comprobar que pueden restaurarse en los plazos requeridos, que no están expuestas al mismo incidente y que los procedimientos funcionan mediante pruebas periódicas.
Los proveedores merecen una revisión específica. Un proveedor de hosting, desarrollo, soporte, ciberseguridad o procesamiento de datos puede afectar directamente al cumplimiento ENS. Los contratos deben incluir requisitos de seguridad coherentes con el servicio, y la empresa debe mantener supervisión sobre esos terceros. Externalizar una función no externaliza la responsabilidad ante el cliente ni ante el auditor.
Qué evidencias espera encontrar una auditoría de ENS alto
La auditoría no evalúa intenciones. Evalúa si el sistema funciona y si puede probarse. Por eso, la documentación debe estar conectada con la realidad operativa: inventarios actualizados, análisis de riesgos, Declaración de Aplicabilidad, políticas, procedimientos, actas de revisión, evidencias de formación, registros de accesos, informes de vulnerabilidades, pruebas de continuidad e informes de incidentes.
El error más costoso es preparar evidencias al final del proyecto. Si los controles se implantan poco antes de la auditoría, faltarán ciclos de revisión, resultados de pruebas, registros históricos y correcciones documentadas. Una buena implantación permite que la evidencia se genere como consecuencia natural de operar el sistema. Para ver qué puntos revisa el auditor, consulta los requisitos críticos de la auditoría ENS.
Cómo abordar la implantación sin bloquear el negocio
Un proyecto ENS alto debe priorizar los riesgos y los requisitos que afectan a la continuidad comercial. La secuencia más eficaz suele seguir cinco fases: Si prefieres un recorrido completo del proceso, tienes la guía para obtener la certificación ENS paso a paso.
- Delimitar el alcance y categorizar correctamente el sistema.
- Realizar un diagnóstico técnico, documental y organizativo frente a las medidas aplicables.
- Diseñar la Declaración de Aplicabilidad y un plan de tratamiento de brechas con responsables y plazos.
- Implantar controles, documentación y evidencias en los procesos reales de la organización.
- Ejecutar auditoría interna, corregir desviaciones y preparar a los responsables para la auditoría de certificación.
El ritmo depende de la madurez previa, la complejidad técnica y la disponibilidad del equipo interno. Una empresa con controles ISO 27001 maduros puede avanzar con más rapidez, aunque el ENS introduce requisitos propios y no admite trasladar evidencias sin una revisión específica. Una organización con desarrollo a medida, múltiples proveedores cloud o servicios críticos 24/7 necesitará dedicar más esfuerzo a arquitectura, continuidad y supervisión.
Contar con un consultor senior asignado a tu proyecto permite convertir las exigencias del ENS en decisiones viables para el negocio, sin plantillas desconectadas de la operación. LicitaISO enfoca este proceso para que el sistema soporte auditorías, contratos y crecimiento, no solo una fecha de certificación.
Cuando un cliente o una licitación exigen ENS alto, la pregunta correcta no es cuántos documentos hay que preparar. Es si la empresa puede demostrar, con hechos y evidencias, que seguirá prestando el servicio cuando la seguridad se ponga a prueba.
Preguntas frecuentes sobre el ENS nivel alto
¿Qué diferencia hay entre ENS medio y ENS alto?
La categoría media se aplica cuando el peor impacto posible de un incidente es grave; la alta, cuando es muy grave. En alta se aplican más medidas y en su versión reforzada, y el auditor espera más trazabilidad entre riesgos, controles y evidencias.
¿Cada cuánto se audita un sistema de categoría alta?
Al menos cada dos años con una auditoría ordinaria (artículo 31 del Real Decreto 311/2022), y de forma extraordinaria cuando se introducen modificaciones sustanciales en el sistema que puedan afectar a las medidas de seguridad; la auditoría extraordinaria reinicia el cómputo de los dos años. El plazo puede ampliarse tres meses por impedimentos de fuerza mayor no imputables a la entidad. En categoría alta, además, el responsable del sistema puede suspender temporalmente el tratamiento de información, la prestación del servicio o la operación del sistema si las deficiencias detectadas son graves, hasta su subsanación o mitigación.
¿Sirve la ISO 27001 para cumplir el ENS alto?
Ayuda, porque comparte el enfoque de gestión del riesgo y buena parte de los controles, pero no lo sustituye: el ENS tiene su propia categorización, sus medidas y su certificación. Lo explicamos en ISO 27001 o ENS: cuál necesita su empresa.
¿Quién emite la certificación ENS en categoría alta?
En el caso de proveedores del sector privado, una entidad de certificación acreditada por ENAC para el ENS conforme a la norma UNE-EN ISO/IEC 17065, según la Instrucción Técnica de Seguridad de Conformidad con el ENS (Resolución de 13 de octubre de 2016), siguiendo las guías del Centro Criptológico Nacional (CCN). El CCN mantiene actualizadas las guías CCN-STIC de la serie 800 (la 802 de auditoría, la 808 de verificación del cumplimiento, la 809 de conformidad y la 825 de certificaciones ISO 27001), por lo que conviene trabajar siempre con la versión vigente.
En LicitaISO acompañamos a proveedores del sector público en la certificación ENS en categoría media y alta, y en su combinación con ISO 27001 cuando el cliente pide ambas: consultoría ISO 27001 y ENS para empresas que licitan.
Licita ISO no es burocracia.
Es una ventaja competitiva.
